munin

 _________   _    _   ______  _____  ______
| | | | | \ | |  | | | |  \ \  | |  | |  \ \     /.)
| | | | | | | |  | | | |  | |  | |  | |  | |    /)\|
|_| |_| |_| \_|__|_| |_|  |_| _|_|_ |_|  |_|   // /
                                              /'" "

Controllo online di hash per Virustotal e altri servizi
Florian Roth

Cos'è Munin?

Munin è un'utilità di controllo online degli hash che recupera informazioni preziose da varie fonti online

La versione attuale di Munin interroga i seguenti servizi:

• Virustotal
• HybridAnalysis
• Any.Run
• URLhaus
• MISP
• CAPE
• Malshare
• Valhalla
• Hashlookup

Schermata

Modalità predefinita - Leggi hash da file

Utilizzo

usage: munin.py [-h] [-f path] [--vh search-string]
                [--vhrule search-string] [-o output] [--vtwaitquota]
                [--vtminav min-matches] [--limit hash-limit]
                [--vhmaxage days] [-c cache-db] [-i ini-file]
                [-s sample-folder] [--comment] [-p vt-comment-prefix]
                [--download] [-d download_path] [--nocache] [--nocsv]
                [--verifycert] [--sort] [--web] [-w port] [--cli]
                [--rescan] [--debug]

Controllo online di hash

argomenti opzionali:
  -h, --help            mostra questo messaggio di aiuto ed esci
  -f path               File da elaborare (hash riga per riga OPPURE csv con hash
                        in ogni riga - rileva automaticamente posizione e commento)
  --vh search-string    Interroga Valhalla per hash tramite parola chiave, tag, nome
                        regola YARA, software Mitre ATT&CK (es. S0154),
                        tecnica (es. T1023) o gruppo di minaccia (es. G0049)
  --vhrule search-string
                        Interroga Valhalla per hash tramite regole tramite parola
                        chiave, tag, nome regola YARA, software Mitre ATT&CK (es.
                        S0154), tecnica (es. T1023) o gruppo di minaccia
                        (es. G0049)
  -o output             File di output per i risultati (CSV)
  --vtwaitquota         Non continuare se la quota VT è superata, ma attendi
                        il giorno successivo
  --vtminav min-matches
                        Numero minimo di corrispondenze AV per interrogare le info
                        hash da VT"
  --limit hash-limit    Esci dopo aver gestito questo numero di nuovi hash in modalità
                        batch (cache ignorata).
  --vhmaxage days       Età massima del campione su Valhalla da elaborare
  -c cache-db           Nome del file di database della cache (default: vt-hash-
                        db.json)
  -i ini-file           Nome del file ini che contiene le chiavi API
  -s sample-folder      Cartella con campioni da elaborare
  --comment             Invia un commento per l'hash analizzato che
                        contiene il commento dalla riga di log
  -p vt-comment-prefix  Prefisso commento Virustotal
  --download            Abilita il download dei campioni da Hybrid Analysis.
                        È necessario lo SHA256 del campione.
  -d download_path      Percorso di output per il download dei campioni da Hybrid
                        Analysis. La cartella deve esistere
  --nocache             Non utilizzare il file di database della cache
  --nocsv               Non scrivere un CSV con i risultati
  --verifycert          Verifica i certificati SSL/TLS
  --sort                Ordina le righe di input
  --web                 Esegui Munin come servizio web
  -w port               Porta del servizio web
  --cli                 Esegui Munin in modalità interfaccia a riga di comando
  --rescan              Attiva una nuova scansione di ogni file analizzato
  --debug               Output di debug

Caratteristiche

• Recupera informazioni preziose da Virustotal tramite API (risposta JSON) e altre informazioni tramite permalink (analisi HTML)
• Recupera informazioni aggiuntive da un elenco di piattaforme
• Mantiene uno storico (cache) per interrogare i servizi una sola volta per un hash che potrebbe apparire più volte nel file di testo
• Gli oggetti in cache sono memorizzati in JSON
• Crea un file CSV con i risultati per una facile post-elaborazione e reportistica
• Aggiunge i risultati a un CSV precedente se disponibile

Visualizzazioni

• Hash e commento (il commento è il resto della riga da cui è stato estratto l'hash)
• Corrispondenze dei vendor AV basate su un elenco definito dall'utente
• Nomi file utilizzati in natura
• Informazioni PE come descrizione, nome file originale e dichiarazione di copyright
• Firmatario di un eseguibile portatile firmato
• Risultato basato sul rapporto di Virustotal
• Prima e ultima sottomissione
• Tag per alcuni indicatori: Harmless, Signed, Expired, Revoked, MSSoftware

Controlli aggiuntivi

• Interroga Malshare.com per caricamenti di campioni
• Interroga Hybrid-Analysis.com per report
• Interroga più istanze MISP per eventi disponibili
• Interroga Any.run per report sandbox
• Interroga CAPE sandbox per report
• Interroga URLhaus per report
• Interroga Malshare per campioni disponibili
• Interroga Valhalla per corrispondenze di regole YARA
• Duplicati Imphash nel lotto corrente > permette di individuare sovrapposizioni negli hash delle tabelle di importazione
• Controlli duplicati firma PE

Modalità operative

1. Predefinita - fornendo un file di input (-f) con hash o una directory di campioni (-s)
2. Query - per cercare hash da Valhalla per parola chiave, tag, tecnica ATT&CK (es. T1023), gruppo di minaccia ATT&CK (es. G0049) o nome regola (-q)
3. Interfaccia a riga di comando - usando il parametro --cli
4. Modalità servizio web - usando il parametro --web

Per iniziare

1. Scarica/clona il repository
2. Installa i pacchetti richiesti: pip3 install -r requirements.txt (su macOS aggiungi --user)
3. Imposta le chiavi API per i diversi servizi nel tuo file ini personalizzato cp munin.ini my.ini (vedi sezione Ottenere le chiavi API per aiuto)
4. Usa il file demo per una prima esecuzione: python munin.py -i my.ini -f munin-demo.txt

Requisiti

• Python 3.7 e superiore
• Connessione Internet (Supporto proxy; l'intercettazione SSL/TLS può essere un problema)

Righe di comando tipiche

Elabora un risultato di Retrohunt di Virustotal e ordina le righe prima del controllo in modo che le firme corrispondenti vengano controllate in blocchi

python3 munin.py -i my.ini -f ~/Downloads/retro_hunt

Elabora una directory con campioni e verifica i loro hash online

python3 munin.py -i my.ini -s ~/malware/case34

Usa la modalità interfaccia a riga di comando (novità nella v0.14)

python3 munin.py -i my.ini

Ottenere le chiavi API

Virustotal

1. Crea un account qui https://www.virustotal.com/#/join-us
2. Controlla Profilo > La mia chiave API per la tua chiave API pubblica

MalShare

Registrati qui https://malshare.com/register.php

Malware Bazaar